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The digital control system has central controllers (2) that communicate 
with a number of distributed units (4) over a bus system (5). Each central 
unit has a memory (3) and an interface (6) together with a fault diagnosis 
unit (12). Each central unit connects via a bus link. 

The distributed or slave units have built-in memory (10) and fault 
diagnosis unit (11), together with inputs (7) and outputs (8). In the 
event that the fault diagnosis facilities (11,12) detect failures in 
either the masters, slaves or bus systems, the emergency programme in 
memory is activated. 

ADVANTAGE - Activates emergency programme for safe operation. 
Dwg. 1/1 



/ 



® BUNDESREPUBLIK 
D E UTS CH LAND 




DEUTSCHES 
PATEIMTAMT 



@ Offenlegungsschrift 
® DE 42 25 834 A1 




(5j) Aktenzeichen: 
(§) Anmeldetag: 
(43) Offenlegungstag: 



(£j) Int. CI. 5 : 

G 05 B 9/02 

G05B 19/05 
G08B 21/00 
G06F 11/30 



P 42 25 834.0 
5. 8.92 
10. 2.94 



CO 
00 

in 



UJ 

Q 



@ Anmelder: 

Inter Control Hermann Kdhler Elektrik GmbH & Co 
KG, 8500 Nurnberg, DE 

® Vertreter: 

Hafner, D., Dipl.-Phys. Dr.rer.nat.; Stippl, H„ 
Dipl. -Jng. Univ., Pat.-Anwalte, 90482 Nurnberg 



(§) Erflnder: 

Frenzel, Bernhard E., Dipl.-lng. (FH), 90559 
Burgthann-Schwarzenbach, DE; Eggebrecht, Frank, 
Dipl.-lng., 90518 Altdorf, DE 



(54) Speicherprogrammierbare digitale Steuerungseinrichtung 

@ Die Erfindung betrifft eine speicherprogrammierbare digi- 
tale Steuerungseinrichtung 1 fur dezentrai ansteuerbare 
Maschtnenelemente und Anlagenteile mit mindestens einer 
zentralen Steuereinheit 2 (Master), mit einer ersten Spei- 
chereinrichtung 3, mindestens einer von der zentralen 
Steuereinheit (Master) abhangigen Untereinheit 4 (Slave), 
die uber mindestens ein Bus-Leitungssystem 5 mit der 
mindestens einen zentralen Steuereinheit 2 (Master) verbun- 
den ist, neben einer Bus-Schnittstelle 8 weitere digitate 
und/oder analoge Ein/Ausgange 7, 8 zum AnschluB von 
angesteuerten Einhetten (Motoren, Sensoren, Ventilen, Ak- 
toren) der Maschinen und Anlage aufweist sowie minde- 
stens eine weitere Speichereinrichtung 10 umfafit, wobei die 
Steuerungseinrichtung 1 mindestens eine Fehleranafyseein- 
richtung 11, 12 aufweist, durch die bei Auftreten eines 
Defektes der zentralen Steuereinheit 2 (Master) und/oder 
B des Busleitungssystems 5 und/oder der Untereinheit 4 
* (Slave) ein in der weiteren Speichereinrichtung 10 abgeleg- 
1 tes Notlaufprogramm startbar ist. 
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Die Erfindung betrifft eine speicherprogrammierbare 
digitale Steuerungseinrichtung mit den Merkmaien des 
Oberbegriffes des Anspruches 1. Speicherprogrammier- 
bare Steuerungseinrichtungen sind in unterschiedlichen 
Ausfuhrungen bekannt und werden beispielsweise zur 
Ansteuerung von Maschinen oder Anlageteilen wie Mo- 
toren, Sensoren, Ventilen, Aktoren, Steilgliedern, Anzei- 
gen und Bedieneinheiten und dergleichen verwendet 
Durch derartige speicherprogrammierbare Steuerungs- 
aniagen konnen auch relativ komplizierte Steuerungs- 
ablauf e abgespeichert und bei Bedarf an die angesteuer- 
ten Vorrichtungen abgegeben werden, wodurch sich 
auch komplizierteste Steuerungsablaufstrukturen auf 
sichere Weise durchfahren lassen. 

Bekannte Einrichtungen der vorbezeichneten Art 
weisen in der Regel zunachst eine zentrale Steuerein- 
heit — genannt Master — auf, die uber ein Bus-Lei- 
tungssystem mit mindestens einer von der zentralen 
Steuereinheit abhangigen Untereinheit verbunden ist 
Dazu weist die abhangige Untereinheit (Slave) neben 
einer ublichen Busschnittstelle weitere digitale und/ 
oder analoge Ein/Ausgange auf, die die anzusteuemden 
Einheiten wie Motoren, Sensoren oder dergleichen der 
Maschinen und Anlageteile angeschlossen werden kon- 
nen. 

. Daruber hinaus sind speicherprogrammierbare digi- 
tale Steuerungseinrichtungen nach dem Stand der Tech- 
nik mit einem Speicher versehen, in welchem Program- 
me und Unterprogramme zur Steuerung des Pro- 
grammablauf es abgelegt werden kdnnen. 

Tritt nun bei den Einrichtungen nach dem Stand der 
Technik in irgendeinem Einrichtungsteil eine Stoning 
auf, beispielsweise eine Unterbrechung der Busverbhv 
dung, ein Ausfall des Master- oder Slave-Prozessors und 
dergleichen, ist ein sicherer Betrieb der durch die digita- 
le Steuerungseinrichtung angesteuerten Maschine oft- 
mals nicht mehr moglich. Man stelle sich vor, die digitale 
Steuerungseinrichtung dient zur Steuerung eines Krans, 
der gerade empfindliche und schwere Lasten fdrdert, 
dann kann ein Ausfall — beispielsweise des Masters zu 
Fehlschaltungen fuhren, die unter Umstanden groBe 
Gefahrenzustande im Bereich des Krans herbeifQhren 
k5nnen. 

Der Erfindung liegt die Aufgabe zugrunde, eine spei- 
cherprogrammierbare digitale Steuerungseinrichtung 
mit den Merkmaien des Oberbegriffes des Anspruches 1 
derart weiterzubilden, daB im Falle unterschiedlicher 
Einrichtungsst6rungen Gefahrenzustande im Bereich 
der durch die Steuerungseinrichtung gesteuerten Ma- 
schine oder Anlage mit Sicherheit vermieden werden. 
Diese Aufgabe wird durch die kennzeichnenden Merk- 
male des Anspruches 1 dadurch geldst, daB die Steue- 
rungseinrichtung mindestens eine Fehleranalyseeinrich- 
tung aufweist, die bei Auftreten eines Defektes der zen- 
tralen Steuereinheit und/oder der Busverbindung und/ 
oder der Untereinheit den Defekt ermittelt, analysiert 
und fiir den Start eines in der weiteren Speichereinrich- 
tung abgelegten Notpragrammes sorgt 

Als Kern der Erfindung wird es mithin angesehen, 
zunachst eine Fehleranalyse-Einrichtimg vorzusehen. 
Die Fehleranalyse-Einrichtung kann mehrere separat 
oder zusammenwirkende Fehleranalyseeinrichtungsele- 
mente aufweisen, beispielsweise eine Fehleranalyse- 
Einrichtung am Master, eine weitere am Slave und eine 
Dritte im Verbindungsbereich zwischen Master und 
Slave, die entweder laufend oder mit gewissen Interval- 



len die zwischen Master und Slaves gewechselten Tele- 
gramme uberpriifen und auf Vollstandigkeit und Rich- 
tigkeit auswerten. 
Wird nun entweder uber eine oder mehrere Fehler- 
5 analyseeinrichtungsteile ein Defekt im Gesamtsystem 
geortet, dann wird — vdllig losgelost von den jeweils 
gerade ablaufenden Master oder Slaveaktionen — ein 
Notprogramm gestartet das unbeeinfluBbar durch die 
Defektsituation ablauft und die an die Steuerungsein- 

10 richtung angeschlossene Maschine so steuert, daB Ge- 
fahrenzustande vermieden werden und die Anlage bzw. 
Teile der Anlage in eine sichere Ruhelage bringt Im 
FaJle des oben erwahnten Kranes kdnnen z. B. mehrere 
Notprogramm-gesteuerte MaBnahmen zur Lastensi- 

15 cherung und Absenkung getroffen werden, bedeutungs- ' 
voll ist, daB die Notprogramme auf die jeweiligen ange- 
schlossenen Maschinen abgestimmt sind und v611ig Ios- 
geldst vom Hauptprogramm niedergelegt werden, urn 
bei einer Hauptprogrammstorung ein sicheres Zurflck- 

20 fahren der angeschlossenen Maschine in einen gefah- 
renf reien Zustand gewahrleisten konnen. 

Weist die speicherprogrammierbare digitale Steue- 
rungseinrichtung mehrere Untereinheiten auf, wie dies 
in der Regel vorgesehen ist, so soil jede Untereinheit 

25 eine gesonderte Fehleranalyseeinrichtung aufweisen, 
deren Fehlerausgang mit einem Notlaufprogramm- 
Starteingang des zugeordneten weiteren Speichers ver- 
bunden ist Zweckdienlicherweise ist der zugeordnete 
weitere Speicher in der Untereinheit enthalten, damit 

30 der Notprogrammbetrieb im Falle eines Defektes im 
Bereich der jeweiligen Untereinheit nur begrenzt im 
Bereich dieser Untereinheit ablauft Tritt hingegen ein 
Masterdefekt oder ein Defekt im Bussystem auf, wird 
dies von alien Fehleranalyseeinrichtungen in alien Unte- 

35 reinheiten registriert, die Gesamtheit aller Notlaufpro- 
gramme wird dann gestartet und sichert die Maschine 
oder Anlage. 

Vorteilhafterweise sind die Notlaufprogramme zu- 
nachst zumindest zum Teil in der ersten Speicherein- 

40 richtung der zentralen Steuereinheit abgelegt Sie kfln- 
nen wahrend einer Programmstartphase in die Spei- 
chereinheiten der Untereinheiten umgeladen werden. 
Dadurch ist eine zentrale Programmierung der Notpro- 
gramme uber die Zentraleinheit mdglich. Es ist aber 

45 auch moglich, daB die Notlaufprogramme zumindest 
zum Teil in den Untereinheiten abgelegte Festprogram- 
me sind, sofern die Untereinheiten immer einen be- 
stimmten Maschinenteil zugeordnet sind. 
Es kann auch besonders vorteilhaft sein, wenn als 

so Bus-Teilnehmer, d h. sowohl die zentrale Steuereinheit 
bzw. zentrale Steuereinheiten (Master) und die abhtogi- 
gen Untereinheiten (Slaves) 'laufend Lebenszeichen" 
von sich geben, was beispielsweise als Impulsfolge, se- 
rielle Dateninformation oder dergleichen geschehen 

55 kann. Fallt nun einer der Teilnehmer aus, wird dies von 
der Fehleranalyseeinrichtung bemerkt Im Falle eines 
Masterdefektes Obernehmen alles Slaves ihre zugewie- 
senen Notfunktionea Fallt ein Slave aus, kann der Ma- 
ster anderen Slaves Funktionen oder Programm zuord- 

60 nen, um den ausgefallenen Slave zu substituieren oder 
zumindest zu unterstutzen. 

Zur OberprQfung der Notprogramme bzw. der ent- 
sprechenden Notlaufsituation der Maschine kann es 
zweckdienlich sein, wenn wahrend der Startpro- 

65 grammphase jedes Notlaufprogramm mindestens ein- 
mal komplett durchlaufen wird und im Maschinenele- 
mentbereich durch Sensoren die Richtigkeit und Voll- 
standigkeit der Notlaufprogramm UberprUft und bei 
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ordnungsgemaflem Verlauf der Notlaufprogramme ein 
Freigabesignal fur den Programmstart abgegeben wird 
Durch eine derartige MaBnahme wird vermieden, daB 
Fehler, die sich in die Notlaufprogramme eingeschlichen 
haben, wahrend des Ablaufes des Hauptprogrammes 
unbemerkt voriiegen und im Notlauffall Gefahren und 
Schaden im Bereich der gesteuerten Anlagen herbeifuh- 
ren. 

Es kann auch vorteilhaft sein, wenn die zentrale 
Steuereinheit einen Fehlersignaigenerator aufweist, der 
bei Auftreten eines Fehlers in der zentralen Steuerein- 
heit ein Fehlersignal an die Untereinheiten zum Starten 
der Notlaufprogramme abgibt Das Fehlersignal kann 
entweder fiber den Bus zu den Untereinheiten gefuhrt 
werden, es ist aber auch moglich, gesonderte Fehlersi- 
gnalleitungen vorzusehen, iiber die das Fehlersignal an 
die Untereinheiten abgegeben wird Damit wird vermie- 
den, daB im Falle eines zusatziichen Busdefektes die 
Fehlersignale nicht die adressierten Untereinheiten er- 



seeinrichtung 11 geeignet, eine untereinheiteninterne 
Oberprufung vorzunehmerL Treten mithin Defekte auf, 
die durch die Untereinheiten verursacht werden, wird 
auch das Notlaufprogramm gestartet, das im Bereich 
5 der weiteren Speichereinrichtung 10 abgelegt ist. 

Die mit 12 bezeichneten Fehleranalyseeinrichtungen 
im Bereich der zentralen Steuereinheiten sind geeignet, 
Fehler im Bereich der zentralen Steuereinheiten zu er- 
kennen und im Falle eines solchen Fehlers die entspre- 
to chenden Notlaufprogramme einzuschalten. Die Fehler- 
analyseeinrichtungen 12 sind als Fehlersignaigenerator 
ausgebildet, deren Ausgang 13 Qber eine Fehlersignai- 
leitung 14 mit den Untereinheiten verbunden ist Da- 
durch kann unbeeinfluBt von dem Bus-Leitungssystem, 
15 das in den weiteren Speichern 10 abgelegte Notlaufpro- 
gramm, das fur jede Untereinheit individuell zugeschnit- 
ten sein kann, gestartet werden. 



Vorteilhafterweise sind die Notlaufprogramme zu- 
mindest zum Teil in der ersten Speichereinrichtung 3 
reichen und ein Starten des jeweiligen Notprogrammes 2 o der zentralen Steuereinheit 2 abgelegt Sie konnen wah- 
unterbleibt rend einer Programmstartphase an die weiteren Spei- 

Die Erfindung ist anhand eines vorteilhaften Ausfiih- chereinheiten 10 der Untereinheiten 4 umgeladen wer- 
rungsbeispiels in der Zeichnung naher erlautert Diese den und stehen dort wahrend des Betriebes der Steue- 
2e '8[ t: rungseinrichtung als individuell strukturierte, auf die 

Eine schematische Darstellung einer speicherpro- 25 Untereinheit bzw. auf die an diese angeschlossene Anla- 



grammierbaren digitalen Steuerungseinrichtung nach 
der Erfindung. 

Die in der Zeichnungsfigur dargestellte speicherpro- 
grammierbare digitale Steuerungseinrichtung 1 weist 
zunachst zentrale Steuereinheiten 2 mit einer ersten 
Speichereinrichtung 3 sowie von den zentralen Steuer- 
einheiten 2 unabhangige Untereinheiten 4 auf, die fiber 
ein Bus-Leitungssystem 5 mit den zentralen Steuerein- 
heiten 2 in Verbindung stehen. Dazu weisen sowohl die 



ge fur den Notfail zur Verfugung. 

Es ist aber auch moglich, die Nodaufprogramme als in 
den Untereinheiten 4 abgelegte Festprogramme auszu- 
bilden, sofern die an die Untereinheiten angeschlosse- 
30 nen Apparate und Gerate dies zulassen. 

Die Programmierung der Notlaufprogramme, die zu- 
nachst im Abschnitt 15 der ersten Speichereinrichtung 3 
abgelegt sind, erfolgt iiber die Eingabevorrichtungen 9 
der zentralen Steuereinheiten. Um die Programmierung 



zentralen Steuereinheiten 2 als auch die Untereinheiten 35 und die Oberwachung der Programme bzw. des Pro- 
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4 Bus-Schnittstellen 6 auf, an die die Konnektoren des 
Bus-Leitungssystems 5 anschlieBbar sind 

An den Untereinheiten 4 sind ferner digitale und/oder 
analoge Eingange 7 sowie Ausgange B vorgesehen, an 
die Motoren, Sensoren, Ventile, Aktoren von Maschinen 
und Anlagenteilen angeschlossen werden konnen, die 
Qber die Steuerungseinrichtung 1 gesteuert werden. 

Mit den zentralen Steuereinheiten 2 sind beim darge- 
stellten Ausfuhrungsbeispiel Eingabevorrichtungen 9 
vorgesehen, die zur Dateneingabe bzw. -anderung in 
den zentralen Steuereinheiten dienen. 

Ferner sind weitere Speichereinrichtungen 10 im Be- 
reich der Untereinheiten 4 vorgesehen. 

ErfindungsgemaB weist die Steuereinrichtung 1 Feh- 
leranalyseeinrichtungen 11, 12 auf, die bei Auftreten ei- 
nes Defektes entweder der zentralen Steuereinheiten 2 
oder im Bereich des Bus-Leitungssystems und/oder im 
Bereich der Untereinheiten 4 ein in der weiteren Spei- 
chereinrichtung 10 abgelegtes Notlaufprogramm star- 
ten, durch welches eine Betriebszustandssicherung der 55 
an die Steuerungseinrichtung 1 angeschlossenen Ma- 
schine oder Anlage vollzogen wird 

Die Fehleranalyseeinrichtungen 11 sind gesonderte, 
in jeder einzelnen Untereinheit 4 angeordnete Fehler- 
analyseeinrichtungen, die die iiber eine Vergleicherein- 60 
richtung an den Bus-Schnittstellen 6 anliegende Daten- 
telegramme mit abgespeicherten Telegrammustern ver- 
gleichen und die Zulassigkeit und Vollstandigkeit der 
anliegenden Telegramme somit uberpruf en konnen. 

Wird in diesem Bereich irgendeine UnregelmaBigkeit 65 
, sei sie durch einen Masterdefekt oder durch einen Bus- 
Leitungssystemdefekt verursacht, ermittelt, wird das 
Notlaufprogramm gestartet Auch ist jede Fehleranaly- 



grammablaufes zu ermSglichen, konnen sowohl an den 
zentralen Steuereinheiten 2 als auch an den Unterein- 
heiten 4 Monitore und dgL vorgesehen sein. 

40 Bezugszeichenliste 



1 Steuerungseinrichtung 

2 zentrale Steuereinheit 

3 Speichereinrichtung 

4 Untereinheit 

5 Bus-Leitungssystem 

6 Bus-Schnittstelle 

7 Eingang 

8 Ausgang 

9 Eingabevorrichtung 

10 weitere Speichereinrichtungen 

11 Fehleranalyseeinrichtung 

12 Fehleranalyseeinrichtung 

13 Ausgang 

14 Fehlersignalleitung 

15 Abschnitt 



Patentanspruche 

1. Speicherprogrammierbare digitale Steuerungs- 
einrichtung (1) fur dezentral ansteuerbare Maschi- 
neneiemente und Anlagenteile mit 

— mindestens einer zentralen Steuereinheit (2) 
(Master) mit einer ersten Speichereinrichtung 
(3); m 

— mindestens einer von der zentralen Steuer- 
einheit (Master) abhangigen Untereinheit (4) 
(Slave), die 
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— Qber mindestens ein Bus-Leitungssystem (5) 
mit der mindestens einen zentralen Steuerein- 
heit (2) (Master) verbunden ist, 

— neben einer Bus-Schnittstelle (6) weitere di- 
gitate und/oder analoge Ein/Ausg&nge (7, 8) 5 
zum AnschluQ von angesteuerten Einheiten 
(Motoren, Sensoren, Ventilen, Aktoren) der 
Maschinen und Anlage aufweist sowie 

— mindestens eine weitere Speichereinrich- 
tung (10) umfaBt, dadurch gekennzeichnet, 10 
daB die Steuerungseinrichtung (1) mindestens 
eine Fehleranalyseeinrichtung (1, 12) aufweist, 
durch die bei Auftreten eines Defektes der 
zentralen Steuereinheit (2) (Master) und/oder 
des Busleitungssystems (5) und/oder der Unte- 15 
reinheit (4) (Slave) ein in der weiteren Spei- 
chereinrichtung (10) abgelegtes Notlaufpro- 
gramm startbar ist 

2. Steuerungseinrichtung nach Anspruch 1 mit 
mehreren Untereinheiten (4) (Slaves), dadurch ge- 20 
kennzeichnet, daB jede Untereinheit (11) (Slave) ei- 
ne gesonderte Fehleranalyseeinrichtung aufweist, 
deren Fehlerausgang mit einem Notlaufprogramm- *~ 
starteingang des zugeordneten weiteren Speichers 
(10) verbunden ist 25 

3. Steuerungseinrichtung nach einem der Anspru- 
che 1 oder 2, dadurch gekennzeichnet, daB die Feh- 
leranalyseeinrichtung (1) mindestens eine Verglei- 
chereinrichtung umfaBt, die an der Bus-Schnittstel- 
le (6) anliegende Datentelegramme mit abgespei- 30 
chertenTelegrammustern vergleicht und die Zulas- 
sigkeit und Vollstandigkeit der anliegenden Tele- 
gramme uberpriift. 

4. Steuerungseinrichtung nach einem der vorherge- 
henden Anspriiche, dadurch gekennzeichnet, daB 35 
die Notlaufprogramme zumindest zum Teil in der 
ersten Speichereinrichtung (3) der zentralen 
Steuereinheit (2) (Master) abgelegt sind und wah- 
rend einer Programmstartphase in die Speicherein- 
heit(en) (10) der Untereinheit(en) (4) umgeladen 40 
werden. 

5. Steuereinrichtung nach einem der Anspriiche 
1—3, dadurch gekennzeichnet, daB die Notlaufpro- 
gramme in der/den Untereinheit(en) (4) abgelegte 
Festprogramme sind. 45 

6. Steuereinheit nach einem der vorhergehenden 
Anspriiche, dadurch gekennzeichnet, daB wahrend 
der Programmstartphase jedes Notlaufprogramm 
automatisch mindestens einmal komplett durchlau- 
fen wird und Qber an den durch die Notlaufpro- 50 
gramme angesteuerten Maschinenelementen ange- 
ordnete Sensoren die Richtigkeit und Vollstandig- 
keit der Notlaufprogramme uberpriift und bei ord- 
nungsgemaBem Verlauf der Notlaufprogramme 
ein Freigabesignal filr den Programmstart abgege- 55 
ben wird 

7. Steuereinrichtung nach einem der vorhergehen- 
den Anspriiche, dadurch gekennzeichnet, daB die 
zentrale Steuereinheit (2) (Master) eine als Fehler- 
signalgenerator ausgebildete gesonderte Fehler- 60 
analyseeinrichtung (12) aufweist, die bei Auftreten 
eines Fehlers in der zentralen Steuereinheit (2) 
(Master) ein Fehlersignal an die Untereinheiten (4) 
(Slave) zum Starten der Notlaufprogramme abgibt 

8. Steuereinrichtung nach Anspruch 7, dadurch ge- 65 
kennzeichnet, daB der Ausgang (13) des Fehlersi- 
gnalgenerators uber eine Fehlersignalleitung (14) 
mit den Untereinheiten (4) verbunden ist 



9. Steuereinrichtung nach einem der vorhergehen- 
den Anspriiche, dadurch gekennzeichnet, daB die 
Notlaufprogramme Qber eine Eingabevorrichtung 
(9) der zentralen Steuereinheit (2) programmierbar 
sind 

10. Steuerungseinrichtung nach einem der vorher- 
gehenden Anspriiche, dadurch gekennzeichnet, daB 
die Fehlersignalleitung (14) als zusatzliche, Busun- 
abhangige Leitung ausgebildet ist 

11. Steuereinrichtung nach Anspruch 10, dadurch 
gekennzeichnet, daB im Falle eines Defektes der 
zentralen Steuereinheit, oder einer der Unterein- 
heiten oder des Bus-Leitungssystems einer der Sla- 
ves die Verbindung zwischen einem weiteren Slave 
und einer von dieser angesteuerten Einheit (Motor, 
Sensor, Ventil, Aktor) abschaltet 

12. Steuerungseinrichtung nach einem der vorher- 
gehenden Anspriiche, dadurch gekennzeichnet, daB 
uber die Fehleranalyseeinrichtung ein optisches 
und/oder akustisches Warnsignal alctivierbar ist 
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